Incidente di Sicurezza di Swan Treasury
Il protocollo di gestione degli asset blockchain Swan Treasury ha subito una perdita stimata di 625.000 dollari dopo che degli attaccanti hanno sfruttato una chiave del firmatario off-chain trapelata per acquistare token STY a un forte sconto, prima di rivenderli per profitto. Secondo la società di sicurezza blockchain Defimon Alerts, l’exploit si è verificato sulla BNB Chain, dopo che la chiave del firmatario off-chain del protocollo, codificata come indirizzo signer nel contratto ZhaiquanBuy, è stata compromessa.
Dettagli dell’Attacco
La perdita è stata di circa 625.000 dollari (30-07-2026) con il token STY scambiato a 2,87 dollari. L’attaccante ha utilizzato la chiave trapelata per generare firme valide per il proprio wallet, eludendo così le restrizioni di acquisto previste dal protocollo. Defimon Alerts ha dichiarato che l’attaccante ha manipolato la funzione di acquisto, che calcola l’importo di STY che un utente riceve in base a un valore di sconto firmato. Generando una firma valida con il parametro di sconto impostato su uno, l’attaccante ha acquistato STY a circa un centesimo del suo prezzo previsto.
Utilizzando un prestito flash di PancakeSwap del valore di circa 19.700 USDT, l’attaccante ha acquisito quasi 687.000 token STY attraverso il meccanismo di acquisto scontato. La società di sicurezza ha affermato che l’exploit non si è fermato qui: sono state anche falsificate firme valide per le funzioni di richiesta e trasferimento del protocollo su contratti correlati, dando all’attaccante accesso aggiuntivo a STY prima di vendere i token nel pool di liquidità STY/USDT. Dopo aver disinvestito la posizione, l’attaccante ha realizzato circa 625.000 USDT di profitto, secondo Defimon Alerts.
Analisi Tecnica
Nella sua valutazione tecnica, Defimon Alerts ha affermato che ogni operazione ecrecover osservata durante l’exploit si risolveva nell’indirizzo del firmatario codificato nel protocollo, piuttosto che in un account controllato dall’attaccante. Questo comportamento indica che la chiave privata del firmatario era stata compromessa, piuttosto che esserci un difetto nella logica di verifica della firma del protocollo.
Poiché le firme generate corrispondevano esattamente al firmatario previsto, le transazioni apparivano valide ai contratti smart interessati. La scoperta restringe la probabile causa dell’exploit all’accesso non autorizzato alle credenziali di firma del protocollo, piuttosto che a un errore nel processo di verifica crittografica.
Reazioni e Conseguenze
Al momento della pubblicazione, Swan Treasury non aveva spiegato pubblicamente come fosse stata esposta la chiave del firmatario o se fossero state implementate ulteriori misure di mitigazione. L’incidente si aggiunge a una serie di attacchi nel settore crypto in cui chiavi privilegiate compromesse, piuttosto che bug nei contratti smart, hanno consentito agli attaccanti di accedere ai fondi del protocollo.
Nel giugno 2025, la società di sicurezza blockchain Hacken ha rivelato che una chiave privata compromessa legata a un contratto con privilegi di minting ha consentito a un attaccante di creare 900 milioni di token HAI su Ethereum e BNB Chain. Hacken ha dichiarato che la chiave era stata esposta mentre la società stava apportando modifiche architettoniche alla propria infrastruttura di bridge blockchain, consentendo all’attaccante di realizzare circa 250.000 dollari prima che l’account di minting interessato fosse revocato e le operazioni del bridge fossero sospese.
Rischi di Sicurezza nel Settore Crypto
Ricerche separate hanno continuato a identificare l’esposizione della chiave privata come uno dei rischi di sicurezza più persistenti dell’industria. Un rapporto di Hacken citato da crypto.news ha precedentemente scoperto che i fallimenti nel controllo degli accessi, comprese le fughe di chiavi private, rappresentavano il 78% delle perdite da hack crypto registrate nel 2024.
Più recentemente, Zilliqa ha rivelato un difetto nella sua applicazione Ledger nativa che potrebbe consentire agli attaccanti di recuperare chiavi private da firme di transazione pubbliche. La rete ha sospeso le transazioni nativ ZIL dopo aver determinato che una debolezza nella generazione di nonce rendeva possibile ricostruire le chiavi interessate una volta raccolte sufficienti firme.
I ricercatori accademici e gli attori dell’industria crypto hanno avvertito che la sicurezza delle chiavi private rimane vulnerabile al di fuori degli exploit tradizionali dei contratti smart. I ricercatori dell’Università della California hanno riportato all’inizio di quest’anno che alcuni servizi di routing AI di terze parti erano in grado di accedere a credenziali sensibili, comprese le chiavi private delle criptovalute e le frasi seed, poiché elaborano le richieste degli utenti in testo semplice.
Durante i test controllati, i ricercatori hanno osservato comportamenti malevoli da parte di diversi servizi di routing e hanno dimostrato che un intermediario è riuscito a drenare Ether da un wallet di prova dopo aver ricevuto la sua chiave privata. Sebbene lo studio universitario non fosse correlato all’incidente di Swan Treasury, i ricercatori hanno concluso che gli sviluppatori dovrebbero evitare di esporre chiavi private o frasi seed a sistemi intermedi e invece fare affidamento su protezioni crittografiche più forti per ridurre i rischi di furto delle credenziali.
